La Commission nationale de l’informatique et des libertés (CNIL), autorità francese per la protezione dei dati personali, ha sanzionato con 500mila euro l’Hôpital Privé de la Loire per diverse violazioni del GDPR. La decisione, adottata il 3 settembre 2026, riguarda in particolare gli obblighi di sicurezza del trattamento e quelli relativi alla comunicazione agli interessati in caso di violazione dei dati personali.
Il procedimento è nato da un attacco informatico avvenuto nell’estate del 2025, durante il quale un hacker ha avuto accesso al sistema informatizzato che centralizza i dati dei pazienti. L’intrusione ha coinvolto 524.867 pazienti, compresi dati sanitari, e 202.246 persone indicate come “terze parti fidate”.
Secondo la CNIL, il sistema utilizzato da utenti esterni non disponeva di misure di autenticazione sufficientemente robuste, come VPN e autenticazione a più fattori. Sono state inoltre rilevate carenze nella gestione degli accessi e nell’individuazione delle attività anomale, consentendo all’attaccante di operare per diversi giorni senza essere rilevato.
L’ospedale aveva informato i pazienti coinvolti, ma non le “terze parti fidate”, violando anche gli obblighi di comunicazione previsti dal GDPR. Per determinare la sanzione, la CNIL ha considerato la gravità delle carenze, il numero di persone coinvolte, la natura dei dati compromessi e le capacità finanziarie della struttura.
